Главная мысль
Публичные данные могут быть доступны, но это не доказывает их точность, полноту или допустимость повторного использования. Проверяйте источник, фиксируйте цель и полномочия, изолируйте ловушки от производственной среды.
Deep web и dark web — разные понятия
Surface web — открытые веб-страницы, которые индексируют обычные поисковые системы. Deep web — неиндексируемый контент, например почтовый ящик, журнал по подписке или частная база данных. Для доступа может понадобиться учётная запись или прямой адрес, но специальное сетевое ПО требуется не всегда. Dark web — часть deep web, состоящая из скрытых веб-сервисов, доступных через специальные сетевые средства; onion-сервисы работают через Tor. Такие сервисы могут помогать журналистам и активистам сохранять приватность, но используются и для преступной деятельности. Отсутствие в поиске или использование Tor не гарантирует безопасность контента. Учитывайте правила, применимые к доступу и вашим действиям.
| Тип | Пример | Доступ |
|---|---|---|
| Открытый веб (surface web) | Открытая новостная страница | Обычный браузер и поиск |
| Неиндексируемый веб (deep web) | Почта и личный портал | Вход или прямой адрес |
| Скрытые сервисы (dark web) | Onion-сервис в сети Tor | Специальная сеть, например Tor |
OSINT собирает открытые сведения и проверяет контекст
Разведка по открытым источникам (OSINT) превращает общедоступные сведения в анализ для принятия решений. Источниками могут быть веб-страницы, новости, социальные сети, открытые реестры, форумы и геоданные. Определите вопрос исследования, фиксируйте дату и происхождение источников, сопоставляйте независимые сведения и отличайте утверждение от подтверждённого факта. Анализ доменов, IP-адресов, метаданных и карт может помочь исследовать угрозу. При автоматическом сборе данных с сайтов, обработке персональных данных и работе с утечками учитывайте условия использования, требования приватности и пределы своих полномочий.
Система-ловушка помогает наблюдать атаки и получать предупреждения
Honeypot — система или служба, специально созданная как приманка для записи взаимодействий с ней. Ловушка с ограниченным взаимодействием (low-interaction) имитирует небольшой набор сервисов и помогает замечать сканирование и автоматические попытки. Ловушка с расширенным взаимодействием (high-interaction) даёт более реалистичную среду и подробные данные о поведении, но повышает риски и нагрузку на команду. В рабочей сети ловушка может давать ранние предупреждения; в исследовательской среде — помогать изучать методы атак и полученные образцы вредоносного ПО. Облачная приманка может имитировать тестовую учётную запись или базу данных. Ловушка видит только взаимодействия с ней: отсутствие сигнала не доказывает, что сеть чиста. Злоумышленник может распознать приманку и обойти её. Без строгой изоляции и мониторинга она может стать опорной точкой для атаки.
Межсетевой экран и система-ловушка решают разные задачи
Межсетевой экран (firewall) пропускает или блокирует трафик по правилам; система-ловушка собирает данные о взаимодействиях с ней. Эти средства дополняют друг друга. Утверждения из открытых источников сопоставляйте с независимыми сведениями: поддельный аккаунт или устаревшая информация могут ввести в заблуждение. Сигналы ловушки проверяйте по журналам и другим событиям сети и устройств. Работайте с разрешёнными источниками и системами, к которым у вас есть полномочия; собирайте только необходимые персональные данные и определяйте срок хранения. Не скачивайте и не открывайте подозрительные файлы на обычном рабочем устройстве; используйте для анализа специально выделенную изолированную среду.